CONTENTS
- 1. 美国法院为何成为追问‘本质责任’的舞台
- - 管辖选择的战略意义
- - ‘被告适格性’的扩张，金范锡董事长个人责任的法理
- 2. 纽约州一般商法（N.Y. GBL §349）违反论点
- - 证据开示策略，治理失败的查明
- - 衡平救济，宣告救济与禁令的意义
- - 集团（Class）·子集团（Subclass）策略
- - 惩罚性损害赔偿与成为先例的可能性
- 3. 数字时代的经营责任范围是什么？
1. 美国法院为何成为追问‘本质责任’的舞台
围绕近期确认发生3300万人个人信息泄露的Coupang事件，境内外正积极展开法律讨论。
在境内准备民事与刑事程序的同时，美国当地律师事务所SJKP, LLP向美国纽约东区联邦地区法院（EDNY）另行提起了集体诉讼。
对此，有人提出疑问：为何针对营业额大部分产生于韩国的企业，却选择了美国法院。
SJKP表示，本次诉讼的核心在于向Coupang的美国母公司Coupang Inc.追究实质责任，并强制其从结构上改善安全治理。
管辖选择的战略意义
Coupang Inc.是依据美国法律设立的法人，是持有韩国法人100%股份的母公司。
这一点在企业的政策决定及治理结构受美国法律体系约束的意义上具有重要性。
SJKP针对美国总公司向美国法院提起诉讼，似乎有以下因素在起作用。
第一，美国法律对违反个人信息保护义务的行为，倾向于认定较为广泛的责任。
第二，存在惩罚性损害赔偿制度，可就重大过失或管理疏忽追究实质责任。
第三，通过美国民事诉讼的核心程序‘证据开示’制度，可强制获取内部决策资料。
在跨越国境的数据侵害案件中，为查明实质责任，除赔偿请求之外，还需要能以客观证据确认决策结构的程序性手段。
在此意义上，美国诉讼被评价为一处战略性的司法战场。
‘被告适格性’的扩张，金范锡董事长个人责任的法理
值得关注的是，不仅Coupang Inc.，金范锡董事长也被明示为共同被告。
根据美国联邦法律及相关判例，若企业的违法行为系因经营层的直接批准、实质控制或重大管理疏忽而发生，该高管可与法人分开承担个人责任。
SJKP方面提出法理判断，认为金范锡董事长作为安全政策与预算的最终决定权人，应就内部控制失败承担实质责任。
起诉状中明示了过失（Negligence）、当然过失（Negligence Per Se）、不当得利（Unjust Enrichment）、默示合同违反、纽约州法令违反等事由。
本案提出了最高经营者的数据安全责任范围应认定到何种程度这一重要法律争点。
2. 纽约州一般商法（N.Y. GBL §349）违反论点
纽约州一般商法第349条禁止欺骗消费者的行为或惯例。
若企业向消费者提供的信息与事实不符或存在误认可能性，该行为可被评价为违法。
若Coupang对外持续给人以具备充分安全系统的印象，而实际运营的安全体系明显未达该水平，则有可能构成欺骗性惯例。
在此情形下，法律责任不仅限于系统错误问题，还可能扩展至统管安全政策的决策结构整体。
归根结底，这超越了数据泄露事故本身，是在追问企业向消费者提供的‘对安全的信赖’是否正当。
证据开示策略，治理失败的查明
美国诉讼中最重要的程序性机制是证据开示。
通过该机制，可要求提交内部邮件、会议记录、安全漏洞报告、预算分配资料等各类文件。
倘若确认存在内部已认知安全漏洞，却以削减成本或维持盈利为由拖延改善的情形，则超出单纯过失，被评价为重大管理疏忽。
在这一点上，问题会扩展为判断企业治理是否存在结构性失败，这在今后类似案件中有可能成为重要先例。
衡平救济，宣告救济与禁令的意义
与境内民事诉讼主要聚焦于金钱赔偿不同，美国法院可通过宣告救济（Declaratory Relief）与禁令救济（Injunctive Relief）强制企业采取具体行为。
本次诉讼中，请求了构建顶级安全系统、强制实施多重认证、提供长期身份盗用监测服务、加强对弱势群体保护等措施。
其目的在于从结构上重整企业的安全体系。
衡平救济不止步于事后赔偿，而是以制度方式强制防止再次发生的手段，这一点具有意义。
集团（Class）·子集团（Subclass）策略
SJKP在受害者中以纽约居民为代表原告，同时将居住于韩国的受害者设定为单独的子集团。
子集团是为在程序上保护居住地或适用法律不同的群体权利而设的制度。
通过这一方式，韩国消费者也可共享美国法院判决所产生的效力，安全强化命令等衡平救济的惠益亦有可能间接扩展。
这一点在跨越国境的消费者保护策略意义上值得关注。
惩罚性损害赔偿与成为先例的可能性
美国存在惩罚性损害赔偿制度。若认定存在重大过失，赔偿规模会相当扩大。
此前T-Mobile的大规模个人信息泄露案件中，曾达成数亿美元规模的和解金，并另行作出加强安全系统的投资承诺。
本案中，若认定存在重大管理疏忽，则不仅赔偿规模，还有可能并行针对企业安全体系整体的改善命令。
3. 数字时代的经营责任范围是什么？
3300万人的个人信息泄露，可被评价为企业内部控制体系与治理结构的问题。
本次诉讼有望成为确认全球企业不能以国境为由回避责任的契机，并有望成为明确最高经营者的决策属于与个人信息保护直接相关领域的重要法律讨论场合。
在数字时代，个人信息保护并非可选的成本，而是企业生存的核心要素。
本案再次追问该责任的范围。
大倫律師事務所以与SJKP的合作体系为基础，就境内外个人信息保护法规提供综合咨询。
具体而言，通过▲个人信息保护治理诊断 ▲经营层监督义务检查 ▲安全政策及内部规定整备 ▲符合海外上市公司标准的内部控制体系设计 ▲发生侵害时的应对预案制定 等，支持企业事前管理法律风险。
个人信息保护中，事前设计远比事后应对更为重要。
尤其对于具有全球业务结构的企业，需要不仅考虑境内法律，还兼顾美国及海外法规的综合咨询。
大倫在此复合环境中，着重于协助企业检查结构性风险，并设计系统性的预防策略以避免同样事态反复发生。
如需帮助，请通过大倫律師事務所 🔗企业律师法律咨询预约，阻断可能发生的风险。
